Si estas usando laravel Homestead tu dominio de homestead siempre va a ser diferente al dominio de tu maquina fisica. La cookie de sesion jamas se estaba guardando en el navegador porque el dominio de la SPA y el de la API jamas iban a coincidir. Mi SPA la estoy trabajando en mi maquina fisica, no estoy haciendola dentro de mi maquina virtual. el dominio de mi maquina homestead era `sharedmarket.test`, pero tambien `localhost:8000`, si hacia una peticion a `sharedmarket.test` jamas iba a ser almacenada la cookie debido a que el dominio `sharedmarket` es diferente al dominio de la SPA, que en este caso es la SPA construida con quasar CLI. luego si hago la peticion a `localhost:8000` siendo mi SPA de la direccion `localhost:9000`, por alguna razon el encabezado `Access-Control-Allow-Origin` nunca se incluye y tengo un error de `CORS`, de echo pareciera que `localhost:8000` no es mi servidor de laravel porque si pongo cualquier direccion en el navegador. no obtengo nada, ni siquiera de las rutas que no estan siendo protegidas con autenticacion. [![introducir la descripción de la imagen aquí][1]][1] [1]: https://i.sstatic.net/p9jO7.png Entonces hacer peticiones de tu maquina fisica a tu maquina virtual usando la direccion `localhost:8000` no va a darte el resultado que quieres. localhost es un alias que hace referencia a la maquina en la que estas, si haces una solicitud a `localhost:8000`, en este caso estaba diciendo 'has una peticion aqui mismo en puerto `8000`', la solicitud jamas llega a la maquina virtual. Podia usar el dominio `sharedmarket.test` para hacer los requests? En este caso si, pero iba a tener problemas ya que al ser esa ip y la ip de mi maquina local diferentes (`192.168.56.56` una alias para `sharedmarket.test` mientras que mi spa esta en `localhost:9000`), las cookies de sesion jamas se iban a guardar ya que estan usando la politica `Same-Site=Lax`, el navegador jamas iba a guardar una cookie de un dominio totalmente ajeno a menos que estableciera `Same-Site=None` en las cookies de sesion del servidor, no creo que sea buena idea usar el valor None para tus cookies de sesion ya que facilmente podrian ser robadas. Mi SPA construida en quasar tambien estaba siendo servida en la direccion `192.168.56.1:9000`, tambien podias acceder a ella con `localhost:9000`. lo que hice fue darle un nombre de dominio a `192.168.56.1` en el archivo hosts de windows. C:\Windows\System32\drivers\etc\hosts Al final del archivo agregue lo siguiente 192.168.56.1 data.sharedmarket.test Ahora esta direccion es considerada un subdominio de `sharedmarket.test` y puedo acceder a ella con el puerto 9000, `data.sharedmarket.test:9000` Luego me voy a `config/cors.php` y modifico la propiedad `allowed_origins` para que tenga mi subdominio. 'allowed_origins' => ['http://localhost:9000','http://data.sharedmarket.test:9000'], luego me voy a `.env` y agrego lo siguiente en `SESSION_DOMAINS` SESSION_DOMAIN=.sharedmarket.test Ahora debes ir a `config/sanctum.php` y agregar el subdominio con el puerto a la lista de stateful domains. 'stateful' => explode(',', env('SANCTUM_STATEFUL_DOMAINS', sprintf( '%s%s', 'localhost,data.sharedmarket.test:9000,localhost:9000,192.168.56.1:9000,127.0.0.1,127.0.0.1:8000,::1', Sanctum::currentApplicationUrlWithPort() ))), Ahora cualquier subdominio de `sharedmarket.test` puede obtener cookies de sesion Recuerda modificar tu archivo `quasar.config.js` en tu SPA para que sirva tu app en el subdominio, debes modificar el campo host de la propiedad devServer, si no esta presente, puedes agregarla. devServer: { // https: true host: 'data.sharedmarket.test', open: true // opens browser window automatically } Esta es la unica forma en la que vas a poder comunicar tu SPA de quasar con un API laravel instalado en la maquina virtual Homestead, debes dar un subdominio a la ip en donde se esta sirviendo la SPA para que coincida con el dominio del servidor de laravel.